《数据恢复》教案正文

江西工业职业技术学院教案

课程名称数据恢复授课时间第1周第1次

授课章节项目一排出硬盘常见的物理故障

掌握硬盘的基础知识、硬盘工作原理

知识目标理解硬盘的物理结构

教学目的掌握硬盘的逻辑结构

技能目标能够判断并排除计算机硬盘无法识别的故障

教学重点硬盘的逻辑结构

教学难点磁道、磁面、柱面与扇区的概念

教学方法讲解法

教具计算机，多媒体，硬盘

教学过程设计

(含时间分配)

(2学时)

1.案例导入

用户：你好，我的台式机开机后进不了操作系统了。

工作人员：不要着急，让我帮你看一下，请您耐心等待！

2.任务分析

电脑进不了操作系统的原因有很多，我们需要先观察故障现象再确定可能的原因。

3.硬盘的结构与工作原理

硬盘是一种外部存储器，具有容量大、数据存取快、单位容量成本低等优点，主

要用于存储计算机操作系统、应用软件、文件等数据。根据其位置可分为内置和外置

硬盘；内置硬盘根据其数据接口类型可分为并口(IDE)和串口硬盘(SATA),外置硬

盘可分为USB接口和cSATA接口；根据工作原理可将其分为固态硬盘(SSD)、机械硬盘

(HDD)、混合硬盘(HHD)三种。

(1)硬盘的物理结构

硬盘的外部由固定面板、控制电路板、接口三部分组成。硬盘内部主要有传动臂、

1

读写磁头、主轴(下方是轴承和马达电机)、永久磁铁、盘片、空气过滤片等组成。

(2)硬盘的逻辑结构

硬盘的逻辑结构包括磁面(Side)、磁道(Track)、柱面(Cylinder)与扇区(Sector)。

(3)硬盘的工作原理

4.硬盘的控制电路

图1-8硬盘电路组成框图。

在硬盘电路板中，三个芯片比较重要，它们分别是：硬盘主控芯片、硬盘驱动芯

片、硬盘缓存芯片。

5.硬盘的物理故障判步骤

心得

作业有条件的同学，可以拆开自己不用的磁盘，进行观看磁盘的结构

备注

2

江西工业职业技术学校教案

课程名称数据恢复授课时间第1周第2次

授课章节实验一winhex的介绍及使用

1.熟悉winhex界面

知识目标

2.理解数据的存储形态

教学目的

会使用通用的数据恢复方法恢复简单的文件

技能目标

会创建虚拟磁盘

虚拟磁盘的创羽&和附加

教学重点通用的数据恢方工方法

数据的存储形不

教学难点通用的数据恢复方法

教学方法演示法，讲解法，任务驱动法

教具计算机

教学过程设计

（含时间分配）

（2学时）

1.winhex界面介绍

［女GDMDMAC，..MHKDVftIRD必6.口放）EM

MMT,♦1・发

----------T-」34,---------------♦40**4y•i4-z

菜单、工具栏

偏移地址

十六迸制值

ASCII码（ft/

货源信息

缩略信息

\

3

2.学生操作练习，熟悉winhex的界面

3.通过实例演示通用数据恢复方法，以及如何创建和附加虚拟磁盘

4.布置课堂练习，让学生自己创建和附加虚拟磁盘，并发放课堂练习，让学生动手操

作利用通用数据恢复方法恢复下发的磁盘文件。

5.方法：工具-磁盘工具-按文件类型恢复

gWinHex-|tfS1)-------

一文件(E)Wt)⑸与取N)£fi(VlIHQ)g业1具3选项(Q)nn(w)w«(u)

F9I为触息

文

WfflCQ)g11ec±a(o)>53«afi5%«(D)-CtrUD

文件工具(D

支科属性

》打开RAM(R)_.»1«l

分区1AK+F92。

一未分区空间20,9674

外程粗序(E)

起蜘#区

AlttF8

i+M«O丽.

十用8制转接(H)_F8初始化晚余空间(I).

初始化目录顷…

Offset

000000000DOP分直(D月IB丢失的分区(?).・・

02

0000000100600计董哈布值作为分区数始位・

0000000200780(M)...CtrkF2

000000030CD16哈外库(H)..，M12设■破盘蟀⑸…

000000040B4BBM8Bit(t):51

0000000500100用中心⑸一AtKfl-t16M(±t-16333

24Bit(t):-7,421,901

0000000707C680：00681000B，428A56008BF4CD13|hhBIVI6t32Bit(±):-795,951.053

0000000809F83C4109EEB14B(0102BBOO7C8A5600IIAl«.>|IV

000090090BA76018A4E028A6E03CDX3666173ICFIlvIIIInIfosD

OOCODOOAO4E1175O：807E000(OF84BAOOB2eoEB84Nu1-1II1.1

0000000805532J0A5600Ct»1：“KB9r6inPt255U2®IVj)♦|>»U

UUUUUUUCUAA73grreuuEQHIUUC\frAnuPlCO“•unyv•trX

OOOOOOODOE88300BODFE63Ef7C00BOFFE664E875-1*|

OOCOOOOEO00FBB800BBCD1A6€23CO75386681FB54d.>1QT

OOCOOOOFO4350417532BlF90；01722c666807BBOOCPAuZ0r.fh»

OOCODOIOO006668000200006(6Boe000000“53”thfhfSf

OOOOOOUO53”33666800000(006869OO7C000066SfVfMC|t

0000001206：6800000?CD3Ay32F6EAOO7C0000CD•b1Z28|!

00000013018A0B707EB08AOB€07EB03AOB50732E4,•■・u2A

心得

作业自己创建虚拟磁盘

备注

4

江西工业职业技术学校教案

课程名称数据恢复授课时间第2周第1次

授课章节项目2使用数据恢复机恢复数据

1.掌握MBR磁盘分区表的数据结构

知识目标

2.掌握分区表结构中的08-0B,OC-OF所代表的含义

教学目的

技能目标会手工分析分区表

教学重点MBR磁盘分区表的数据结构

教学难点MBR磁盘分区表的数据结构

教学方法演示法，讲解法，案例演示法

教具计算机

教学过程设计

（含时间分配）

（2学时）

1.MBR硬盘

MBR硬盘的分区表也叫DOS分区表，0号扇区是主引导记录（MBR）,DOS分区体系

的硬盘用分区表记录每个分区的类型起始位置和分区的大小。其中分区表就在0号扇

区内，所以0号扇区如果损坏，那么这个硬盘就不能正确识别分区。

2.MBR结构图

OffMt0123456789ABCDCF

000000000033COttDOBC007CFBSO0750IFFCBEIB7C

0000000010BFIB06SO57B9E501F3A4CBBDBE07Bl04

0000000020386€007C09751383C51012F4CD188BFS

000000003083Ce10497419382C74ThAOB$07B40768

0000000040FOAC3C0074FCBB07OOB4OECD10EBF286

OOOOOOOOSO4E10E64600732AIt4610607104OB7406

0000000060807E04OC7405AOB607D28046020683

00000000704608068356MOOE62\007305AO8607EB

0000000080BC61FE7D55AA74OBSO7110OO”C8AO

0000000090B707EBA98BFCIE57SBF5CBBFOS008A56

00000000*000B408CD137223&ACl3F968ADE6AFC

二力注钏溥豺索欣科u;;葭

0000000080

OOOOOOOOCO

00000000006B41028B5600CD137351”?44E32E46A

OOOOOOOOCOS600CD13EBE46A560060BBAA55B441CD

ooooooooro13723681FB55AA7530F6Cl01742B6160

00000001006A006A00FF76(UFF76086AOO66007C6A

ooooooono01GA10B4426BF4CD13616173OE4F7406

000000012032E4dA5600813EB0661F9C3496E%61

00000001306C6964207061727469M696F6E207461

0000000140626C65004572726F72>06C6F6164696E

000000015067206F70657261〃696E672073797374

0000000160656D004D69737369167206F70657261

ooooooono7469我672073797374656D0000000000

0000000180000000000000OO00OO00000000000000

00000001900000000000OOOO00000000OO00000000

OOOOOOOIAO000000000000OO00OO00000000000000

OOOOOOOIBO00000000002C4463M>3EO2300008001

OOOOOOOICO01OO07EEFCFF3F00OO0041DFAO0800FO

ooooooowoFFFF07CD。卡5A现OF030000

OOOOOOOICOooooorooJU语?方火3c“cooft

OOOOOOOIFOFFFFOFFEFFFF0078CA»300EOA5005SAA

5

3.分区表项结构

偏移（16进制:|字节数描述

00-0010x00:不可引导；0x80:可引导（一般是系统盘）

01-033分区的起始CHS地址（由于CHS只能寻址到8G,

早已淘汰不用，可空）

04-041分区的类型

05-073结束CHS地址（可空）

08-0B4分区的起始扇区号

0C-0F4分区所包含的扇区数

08是指从E列开始0,Fl,ooo,08即第6列。

（1）分区类型值的含义

类型值含义

0x07NTFS、ExFat

OxOC、OxOBFAT32

OxOF、0x05扩展分区表

OxEEGPT

4.MBR硬盘结构图

B分区1分区2分区3分区n

R

由图可知，MBR硬盘的分区是连续的，一个紧挨着一个。所以我们在做教据恢复

时，往往找到一个分区时，很快就能找到所有的分区。

5.课堂案例演示如何获得每个分区的（类型、起始扇区号，总扇区数）

心得

作业手工分析分区表，并获取每个分区的（类型、起始扇区号，总扇区数）

备注

6

江西工业职业技术学校教案

课程名称数据恢复授课时间第2周第2次

授课章节实验二修复主分区表一一一恢复误删的分区

知识目标理解MBR磁盘分区表的数据结构

教学目的

技能目标能够修复主分区表----恢复误删的分区

教学重点

教学难点

教学方法

教具计算机,winhex

教学过程设计

（含时间分配）

（2学时）

1.回顾上节课的知识点；

2.发放本次课的实验模拟磁盘；

3.学生进行操作，恢复主分区表误删除的分区；

4.发放本次实验指导内容；

5.总结学生操作过程中遇到的问题并解答。

心得

作业

备注

7

江西工业职业技术学校教案

课程名称数据恢复授课时间第3周第1次

授课章节项目2使用数据恢复机恢复数据

知识目标1.掌握扩展分区表的数据结构

教学目的

技能目标1.会修复扩展分区表一一分区误删

教学重点扩展分区表的数据结构

教学难点扩展分区表（EBR）的结构

教学方法案例演示法，任务驱动法

教具计算机，winhex

教学过程设计

（含时间分配）

（2学时）

1.EBR(ExtendedBootRecord)的概念

EBR即扩展分区引导记录。类似于主引导记录MBR。因为MBR的四条分区信息的限制，可以使

用EBR方便扩展。它的结构与MBR类似于，但是没有引导程序和磁盘签名，仅仅保留了

分区表和结束标志。

本来一块硬盘最多支持4个分区，但是由于发展4个分区已经不能满足要求，但

是为了在扩展你的前提下能够兼容以前的特性，因此采用了扩展分区的方式。

硬盘分区分布图

8

主分区I主分区2近鞫分区I逆■分区2

―A----------A----------A----------A---

----------V---------------------V-----------

。・址-------------育子扩展分区I;IT展分区2

J.丫_/

忌扩・分区

483）-21MBR、EBR、08R位置关系

2.扩展分区表（EBR）的结构

第一个表项：分区起始扇区号（相对于本扩展分区表的位置）

第二个表项：下一个扩展分区表扇区号（相对于主扩展分区表）

3.课堂演示EBR扇区分析

000000017074696F6E2074626C65004572726F72tiontableE

0000000180206C6F61646967206F706572617469loadingope

00000001906E6720737973656D004D697373696EngsystemM】

00000001A067206F70657274696E672073797374goperatic

00000001B0656D000000639AB8D5CBS600000020em

00000001C0210007FEFFFF0800000000710200FE1pyy

OOOOOOOIDOFFFF07FEFFFF0871020080A90300FEyyl>yyq1

00000001E0FF07FEFFFF881A060068FB0600FEyyII

OOOOOOOIFOFFFF四FEFFFFF0IS0D00086A1855AAyypyy$

图一

A^DtLUUl1Uuuuuuuuuuuuuuuuuuuuuuuuuuuuuuu

A2BE0012000000000000000000000000000000000

A2BE0013000000000000000000000000000000000

A2BE0014000000000000000000000000000000000

A2BE001S000000000000000000000000000000000

A2BE0016000000000000000000000000000000000

A2BE0017000000000000000000000000000000000

A2BE0018000000000000000000000000000000000

A2BE0019000000000000000000000000000000000

A2BE001A000000000000000000000000000000000

A2BE001B0000000000000000000000000000000FE

A2BE001C0FFFF07FEFFFF000800000080A90300FEyy卜力

A2BE001D0FFFF国FEFFFF0086A90300801A060000yyt>yy

A2BE001E000000000000000000000000000000000

A2BE001F0000000000000000000000000000055AA

图二

4.课堂案例讲解

如何手工分析磁盘镜像中的各个分区的类型起始扇区号和总扇区数

5.知识点小结：

♦MBR中扇区的起始位置都是相对于0偏移的。

•EBR中第一个分区表项的表示的为逻辑磁盘时，起始位置都是相对于当前的扇区

的（也就是EBR所在的扇区）。

•EBR中的分区表项表示下一个扩展分区时，它的起始位置都是相对于EBR的。

•EBR”中的扇区总数二EBR中指向EBRi+1的分区表项的总扇区数。

心得

作业手工分析课后练习磁盘镜像中的各个分区的类型起始扇区号和总扇区数

备注

9

江西工业职业技术学校教案

课程名称数据恢复授课时间第3周第2次

授课章节实验三修复扩展分区表一一分区误删

知识目标掌握扩展分区表的数据结构

教学目的

技能目标会修复扩展分区表一一分区误删

教学重点

教学难点

教学方法演示法，任务驱动法

教具计算机

教学过程设计

（含时间分配）

（2学时）

1.回顾上节课的知识点；

2.发放本次课的实验模拟磁盘；

3.学生进行操作，恢复主分区表误删除的分区；

4.总结学生操作过程中遇到的问题并解答。

5.提示：

删除扩展分区，由于扩展分区位于磁盘最后部分，先找到最后一个分区的各份DBR

（先跳到最后一个扇区，向上搜索eb5290）,即最后一个备份DBR的起始扇区（同时

记下该分区的逻辑磁盘大小）。

因为要找扩展分区（扩展分区没有eb5290,如果继续向上搜索，会找不到扩展分

区），扩展分区的结尾标记55AA,所以在最后一个备份DBR处开始向上查找55AA,然

后即可找到最后一个扩展分区的ebr所在扇区，记下关键数据，依次向上查找（55AA）O

DBR（eb5290）可以查看该逻辑磁盘大小

10

参考计算公式：

DBR3=备份DBR3所在扇区-3的逻辑磁盘的大小

子扩展分区3的总大小（扇区）：

=最后一备份DBR所在扇区-EBR3所在扇区

=DBR3-EBR3+3的逻辑磁盘的大小

心得

作业

备注

11

江西工业职业技术学校教案

课程名称数据恢复授课时间第4周第1次

授课章节项目三修复FAT文件系统下的数据

1.理解什么是文件系统

2.掌握FAT32文件系统结构

知识目标

3.掌握FAT32DBR的数据结构

教学目的

4.了解FSINFO扇区数据结构

技能目标能够画出FAT32文件系统的结构图

教学重点FAT32文件系统结构

教学难点FAT32DBR的数据结构

教学方法讲解法

教具计算机，winhex

教学过程设计

（含时间分配）

（2课时）

1.初识文件系统

•文件系统就是对数据存储进行管理的一种机制；

•格式化的目的就是建立文件系统从而管理文件；

•我们平时看到的NTFS、FAT32、ExFat的分区格式都是文件系统，每种文件系

统都有不同的管理方式。

•NTFS、FAT32、Exfat文件系统的第一个扇区叫DBR系统引导扇区

2.FAT32文件系统结构

DBR保留区|FAT1FAT2数据区

•DBR及保留扇区：DBR的含义是DOS引导记录，也称为操作系统引导记录，在

DBR之后往往会有一些保留扇区。

12

・FAT1：FAT的含义是文件分配表，FAT32一般有两份FAT,FAT1是第一份，也

是主FAT。

•FAT2：FAT2是FAT32的第二份文件分配表，也是FAT1的备份，即FAT2与FAT1

是一样的。

•DATA：DATA也就是数据区，是FAT32文件系统的主要区域，其中包含目录区域。

•FAT1起始扇区=DBR的扇区号+保留扇区数

・FAT2的起始扇区=FAT1的起始扇区+一个FAT的扇区数

3.FAT32DBR的数据结构

|偏杵（163M）罐逐|偏移（16边切）描述

0(W2好断指令（EB5890）24-27FATU的大小

03OA文件系统废本28-29标记

0B.0C♦・区字节跋2A-2B趋本

0D扇区依2C-2F模目录所在的■号

0E4)FFAT/的配始・区号30-31D6R的大小

10FAT«+B32-33DBR的口优JA区位

1

11-12保修34-3F保施

13-14保国40BIOS设备

15介质篇述符41未使用

16.17保留42犷展引导丽记

18-19每磁道扇区效43-46卷序列号

1A-1B♦头K47-51防

1C-1F（。到OBR的52-59文件界线格式

ME)

20-23文件系统的2席区电

3.1重要概念

扇区：扇区是硬盘读写的基本单位，一般情况下每扇区的大小是5